シャドーAIとは？未許可の生成AI利用を発見・是正する手順

シャドーAIとは、組織が把握・承認していない生成AIやAI機能を、従業員などが業務で利用している状態です。利用者の処分だけで終わらせず、なぜ正規の手段で仕事を完了できなかったかまで確認して再発を防ぎます。

シャドーITのうちAI利用に固有の問題を含む

未承認のクラウドや端末を使うシャドーITに対し、シャドーAIは外部AIサービス、ブラウザー拡張、会議要約、文書作成機能、API、個人アカウントなどのAI利用に焦点を当てた言葉です。会社契約のツールでも、承認されていない機能や用途で使えば管理外になることがあります。

入力個人情報、営業秘密、著作物

処理保存、学習、外部連携、モデル変更

出力誤り、偏り、権利侵害、根拠不足

実行送信、更新、削除、意思決定

無料か有料か、知名度があるかだけでは安全性を判断できません。契約主体、データ処理条件、管理者機能、ログ、権限、用途の影響を組み合わせて確認します。

調査前に履歴を消させたり、利用者へ口頭で注意するだけにしたりすると、影響範囲も原因も分からなくなります。事故報告と懲戒判断を同じ担当者の即断にせず、組織のインシデント手順で扱います。

利用ルールの下書きは生成AI利用ルールの社内通知文例、全体の責任分担はAIガバナンスで確認できます。

最終確認日: 2026年9月15日。利用サービスの契約・データ処理条件と自社の事故対応手順を確認してください。

部下が配慮相談や採用面接の記録を個人のAIアカウントへ貼り付けた場合、最初に「履歴を全部消して」と指示しません。追加送信を止め、どの情報をいつどの機能へ送ったかを、必要な範囲で保全して情報管理部門へ連絡します。

確認すること	管理職の判断
入力した情報	氏名だけでなく病歴、所属、相談内容から個人が分からないか
利用した機能・契約	会社契約か個人契約か、保存・学習・共有条件は何か
連携と送信	外部連携や共有リンクがあり、さらに広がる状態か
出力の利用	すでに選考・人事評価・顧客回答へ使ったか

人名だけを伏せても個人を識別できる場合があります。「学習しない設定」だけで入力が適法・適切になるとも限りません。会社の利用目的、データ管理、契約条件を確認し、漏えい等の対応が必要かは担当部門が判断します。

「長い相談記録を要約したかった」という利用目的なら、機微な記録を外部へ出さず要点を整理できる方法を整えます。配慮相談の面談記録のように、事実・希望・決定事項を最初から分けるのも一案です。利用者を責めて報告を止めるより、入力を止める手順と承認済みの代替手段を示します。